近两年，欧盟数字产品网络安全合规迎来结构性迭代：旧的无线设备安全规则持续强制执行，全新CRA网络韧性法案分阶段落地。双体系并行监管，让绝大多数IoT、智能硬件、软件出海企业产生同一个疑问：
做了EN 18031，还需要做CRA吗？两者是重复、替代、还是叠加关系？
一、欧盟CRA法案：权威定义 & 关键时间节点
CRA（EU 2024/2847 网络韧性法案）是欧盟顶层横向立法，是未来所有数字产品网络安全的统一合规准则。
管控范围覆盖全部带数字、处理、联网功能的软硬件，不止无线设备，包含有线设备、电脑整机、应用软件、智能组件等，是真正意义上的全域监管法案。
CRA采用梯度落地模式，三个时间点直接决定企业合规节奏：
✅ 2024年12月10日：CRA正式生效，纳入欧盟法律体系；
✅ 2026年06月11日：CRA公告机构（NB）备案规则启用，官方认证体系正式落地；
✅ 2026年09月11日（核心强条）：制造商强制通报义务生效，所有在售/存量产品出现高危漏洞、安全事故，必须24小时内向ENISA上报；
✅ 2027年12月11日（终极切换日）：CRA全条款强制落地，废止RED配套安全法案EU 2022/30，旧体系彻底退出。
处罚力度（极高风险）：违规最高处罚为全球年营业额2.5% 或 1500万欧元（取高值）。
不同于传统只测产品技术的标准，CRA强制要求企业建立全生命周期安全体系：上市前安全设计、上市后漏洞运维、长期固件更新、风险披露管理等。
二、CRA 与 EN 18031 核心关系（重点区分）
很多企业踩坑的核心误区：认为过了EN 18031，就等于合规CRA。
官方结论非常明确：两者层级不同、范围不同、义务不同、过渡期并行、2027年后彻底替代，互不完全等同。
1、定位完全不一样：标准 VS 法律
EN 18031：只是技术标准
隶属于RED无线电设备指令，仅针对带射频的无线设备（Wi-Fi、蓝牙、蜂窝产品），2025年8月1日强制用于CE-RED网络安全合规。
只解决设备本身的基础技术安全：密码安全、固件基础防护、基础隐私保护等，无管理制度、无生命周期义务、无上报责任。
CRA：是欧盟正式法律
覆盖无线+有线+软件全品类，不仅管控产品技术安全，更管控企业整套合规制度与生命周期责任。
2、过渡期豁免规则（最关键知识点）
依据 CRA Article 2(4) 法定豁免条款：
✅ 可以豁免：无线设备已做EN 18031的重叠技术测试项，测试报告、技术文档可直接复用，无需重复测试；
❌ 不可豁免（CRA独有强制要求）：
1. SBOM软件物料清单全生命周期建档管理；
2. 长期固件安全更新与维保周期公示及履约；
3. CVD漏洞协调披露机制建立；
4. 安全漏洞/事故24小时ENISA强制上报+全链条追责。
一句话总结：技术可以免测，法务义务不能免。
三、企业落地合规策略（清晰分类）
1、无线IoT/穿戴/智能家居（带Wi-Fi/蓝牙）
过渡期双合规并行：先保证EN 18031有效通关，同时补齐CRA四大管理制度要求，提前完成漏洞上报、SBOM搭建、固件生命周期管理。
2、有线设备、纯软件、无射频产品
不适用EN 18031，直接按照CRA要求预合规即可。
3、全员必做时间节点
2026年9月前必须落地漏洞上报与安全应急机制，否则直接触发CRA监管风险。
四、文末总结
EN 18031是短期、无线设备、技术层面的入门门槛；CRA是长期、全品类、制度+技术双管控的顶层合规法则。2025–2027年双轨并行，只做EN 18031无法满足CRA合规。提前布局双体系合规，是稳住欧盟市场的必备条件。
更多文章：
实力认证！领世达实验室顺利通过 EN 18031-1 能力验证，软件安全测试技术获国家级认可！
高效开案！PSTI测试开案全流程指南
高效开案！EN 18031测试开案全流程指南
欧盟CRA漏洞披露，2026年强制生效
公司简介
深圳市领世达检测技术有限公司专注第三方检测认证与技术咨询，主营各国的产品网络安全、国际市场准入及产品可靠性测试服务。核心覆盖 EN 18031、PSTI、CRA、CE、FCC、UKCA 、JC-Star、CSA 2024、SB-327、NIST 8259A等认证，提供网络安全测试、无线产品RF测试、以及环境可靠性检测等一站式解决方案。公司依托集团技术实力，遵循 ISO/IEC 17025 体系，为消费电子、物联网、通讯电子等企业提供专业高效的合规入市服务，助力客户突破全球贸易技术壁垒。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前